CRA 合规准备从代码库开始

欧盟《网络弹性法案》（CRA）常被当作政策或报告问题来讨论，但对于开发数字产品的公司来说，它真正的落点在代码层面：合并请求、构建流水线、发布审批、依赖记录和测试套件里。原因是，如果公司连“哪些版本受影响、哪个组件引入了暴露、安全控制是否被改过、发布能否复现、修复是否真的生效”这些基本工程问题都答不上来，就不可能可靠地报告被利用的漏洞或严重事件。文章建议把安全控制分为四个成熟度（无证据、临时、标准、强制），用七个代码库问题来检查差距，比如安全默认值、敏感变更审查、发布溯源、合并前检查、严重问题能否阻断发布等。对读者的用处是：与其最后临时抱佛脚做合规，不如把可重复的安全控制嵌入软件生命周期，既降低风险，也为 CRA 报告留下证据。需要注意的是，文中提到的日期是：自今年 9 月 11 日起，范围内厂商必须通过欧盟流程报告已被主动利用的漏洞和严重事件；更广泛的 CRA 义务从 2027 年 12 月开始适用。文章未说明具体公司或产品案例，也未给出完整合规清单。